Drei TXT-Einträge stehen in deinem DNS-Bereich. Die meisten Unternehmer öffnen sie nie. Doch genau diese drei Einstellungen entscheiden, ob deine Rechnung im Posteingang eines Kunden landet oder als verdächtig markiert wird.
SPF-, DKIM- und DMARC-Einträge sind die zentrale Authentifizierungsschicht für geschäftliche E-Mail. Zusammen sagen sie empfangenden Servern, welche Mails wirklich von deiner Domain stammen und was mit Nachrichten passieren soll, die die Prüfung nicht bestehen. Vielleicht hast du sie schon in DNS-Einträge für E-Mail mit eigener Domain aufgelistet gesehen. Dieses Kapitel geht tiefer auf jeden Eintrag ein und erklärt, warum du alle drei brauchst.
Was sind SPF-, DKIM- und DMARC-Einträge?
Das sind DNS-Einträge, die ausgehende E-Mail deiner Domain überprüfen. SPF listet zugelassene Sendeserver auf. DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu. DMARC legt Richtlinie und Berichte fest, wenn die ersten beiden Prüfungen scheitern. Postfachanbieter gewichten alle drei, wenn sie deine Mail bewerten.
Was jeder Eintrag tut
1. SPF (Sender Policy Framework)
SPF ist ein TXT-Eintrag, der die Server nennt, die für deine Domain Mails senden dürfen. Wenn eine Nachricht ankommt, vergleicht der empfangende Server die sendende IP mit deiner SPF-Liste. Steht der Server nicht darin, kann die Nachricht die Authentifizierung nicht bestehen.
2. DKIM (DomainKeys Identified Mail)
DKIM hängt eine digitale Signatur an ausgehende Nachrichten. Dein Anbieter signiert Mails mit einem privaten Schlüssel. Ein passender öffentlicher Schlüssel in deinem DNS lässt Empfänger prüfen, dass unterwegs nichts verändert wurde. DKIM hilft auch, wenn Mails weitergeleitet werden.
3. DMARC (Domain-based Message Authentication, Reporting, and Conformance)
DMARC sagt Empfängern, was sie tun sollen, wenn SPF oder DKIM scheitert. Es sendet auch Berichte darüber, wer Mails mit deiner Domain verschickt. Starte im Überwachungsmodus und verschärfe die Richtlinie, sobald legitime Absender die Prüfungen bestehen. So schliesst du den Kreis bei den Spoofing-Risiken aus Was ist E-Mail-Spoofing.
So richtest du Authentifizierungs-Einträge ein
Dein E-Mail-Hosting-Anbieter liefert die genauen Werte für jeden Eintrag. Kopiere sie in deinen DNS-Bereich, in dem du deine Domain verwaltest. Änderungen können einige Stunden brauchen, bis sie weltweit gelten.
Nimm jeden Dienst, der im Namen deiner Domain sendet, in deinen SPF-Eintrag auf. Fehlt ein legitimer Absender, entstehen falsche Fehlermeldungen. Sende nach der Einrichtung Testnachrichten und prüfe, ob sie bestehen. Die Schritte aus E-Mail mit deiner Website-Domain verbinden erledigst du oft in derselben DNS-Sitzung.
Authentifizierungs-Einträge sind für ernsthafte Marken kein optionales Extra. Sie schützen deine Domain, verbessern die Zustellbarkeit und geben dir Einblick in Missbrauch. Das nächste Kapitel Wie funktioniert E-Mail-Zustellbarkeit zeigt, wie Postfachanbieter diese Signale nutzen.
Häufig gestellte Fragen
Brauche ich alle drei Einträge oder kann ich nur mit SPF starten?
SPF allein hilft, lässt aber Lücken, die DKIM und DMARC füllen. Die meisten Postfachanbieter erwarten alle drei für starke Vertrauenssignale. Dein E-Mail-Anbieter liefert dir die Werte für jeden Eintrag, und du fügst sie hinzu, wenn du eine Domain über den Website-Builder verbindest.
Können falsche Authentifizierungs-Einträge meine Mails komplett stoppen?
Falsche SPF- oder DKIM-Werte können dazu führen, dass legitime Nachrichten die Prüfung nicht bestehen oder im Spam landen. Korrigiere die Werte sorgfältig per Copy-and-paste von deinem Anbieter. Teste nach jeder DNS-Änderung.
Wie oft sollte ich meinen SPF-Eintrag aktualisieren?
Aktualisiere SPF, sobald du ein neues Tool hinzufügst, das Mails von deiner Domain sendet. Entferne alte Dienste, die du nicht mehr nutzt, damit der Eintrag korrekt und kurz bleibt.
Was ist der Unterschied zwischen SPF und DMARC?
SPF prüft, welche Server für dich senden dürfen. DMARC legt Richtlinie und Berichte fest, wenn die Authentifizierung scheitert. Sie arbeiten als Paar zusammen und ersetzen einander nicht.
Wo füge ich diese Einträge hinzu, wenn Domain und E-Mail unterschiedliche Dashboards nutzen?
Authentifizierungs-Einträge liegen immer im DNS-Bereich deiner Domain, egal wo dieser verwaltet wird. Das Kapitel So bekommst du E-Mail mit eigener Domain zeigt, wie du Domain und Hosting aufeinander abstimmst.
Beheben Authentifizierungs-Einträge alle Zustellbarkeitsprobleme?
Die Einträge räumen eine grosse Vertrauenshürde aus dem Weg, ersetzen aber keine saubere Listenpflege und relevante Inhalte. Lies So verbesserst du die E-Mail-Zustellbarkeit deiner Marke für das ganze Bild.